Cisco SG-350 交换机和 Fortigate 防火墙配置

网络工程 思科 转变 局域网 防火墙
2022-02-23 10:45:48

我不是你所说的网络工程师，但现在我有一个（有点）复杂的网络问题需要解决。我必须配置一个 SG-35028p cisco 交换机和一个 fortigate 60f 防火墙来提供互联网访问（如果你问我，有点像棒式路由器）。

现在我无法实现所附图像显示的目标，因为我不确定为什么我的 vlan 没有互联网访问权限，或者如何正确配置 vlan。

我尝试过的事情：

  • 在 Switch 上调用 eigrp：不起作用。命令无法识别。
  • Switch上的静态路由：不起作用，也许我做错了。

当前配置

编辑：我将添加我当前的交换机配置以阐明设置状态：

-vlan database
-vlan 10,20,30,40,66,77
-exit

-ip dhcp server
-ip dhcp pool network EA_POOL
-address low 192.168.40.10 high 192.168.40.15 255.255.255.0
-exit

-ip dhcp pool network Main_Pool
-address low 192.168.1.10 high 192.168.1.19 255.255.255.0
-default-router 192.168.1.1
-dns-server 192.168.1.1
-exit

-ip dhcp pool network Testing_POOL
-address low 192.168.20.10 high 192.168.20.20 255.255.255.0
-exit

-ip dhcp pool network Production_POOL
-address low 192.168.30.10 high 192.168.30.20 255.255.255.0
-exit

-ip dhcp pool network Development_POOL
-address low 192.168.10.10 high 192.168.10.20 255.255.255.0
-exit

-ip dhcp information option
-bonjour interface range vlan 1
-qos advanced
-line console
-no autobaud
-exit

-ip name-server  192.168.2.99
    -ip telnet server
-!
-interface vlan 1
    -ip address 192.168.2.210 255.255.255.0
    -no ip address dhcp
-!
-interface vlan 10
    -name Development_VLAN
    -ip address 192.168.10.10 255.255.255.0
-!
-interface vlan 20
    -name Testing_VLAN
    -ip address 192.168.20.10 255.255.255.0
-!
-interface vlan 30
    -name Production_VLAN
    -ip address 192.168.30.10 255.255.255.0
-!
-interface vlan 40
    -name EA_VLAN
    -ip address 192.168.40.10 255.255.255.0
-!
-interface vlan 66
    -name unused-ports
    -shutdown
-!
-interface vlan 77
    -name OUTGOING
-!
-interface GigabitEthernet3
    -switchport access vlan 10
-!
-interface GigabitEthernet4
    -switchport access vlan 10
-!
-interface GigabitEthernet5
    -switchport access vlan 10
-!
-interface GigabitEthernet6
    -switchport access vlan 10
-!
-interface GigabitEthernet7
    -switchport access vlan 10
-!
-interface GigabitEthernet8
    -switchport access vlan 20
-!
-interface GigabitEthernet9
    -switchport access vlan 20
-!
-interface GigabitEthernet10
    -switchport access vlan 30
-!
-interface GigabitEthernet11
    -switchport access vlan 30
-!
-interface GigabitEthernet12
    -switchport access vlan 40
-!
-interface GigabitEthernet13
    -switchport access vlan 66
-!
-interface GigabitEthernet14
    -switchport access vlan 66
-!
-interface GigabitEthernet15
    -switchport access vlan 66
-!
-interface GigabitEthernet16
    -switchport access vlan 66
-!
-interface GigabitEthernet17
    -switchport access vlan 66
-!
-interface GigabitEthernet18
    -switchport access vlan 66
-!
-interface GigabitEthernet19
    -switchport access vlan 66
-!
-interface GigabitEthernet20
    -switchport access vlan 66
-!
-interface GigabitEthernet21
    -switchport access vlan 66
-!
-interface GigabitEthernet22
    -switchport access vlan 66
-!
-interface GigabitEthernet23
    -switchport access vlan 66
-!
-interface GigabitEthernet24
    -switchport access vlan 66
-!
-interface GigabitEthernet26
    -no switchport
    -switchport access vlan 77
-!
-exit
-ip default-gateway 192.168.2.99
3个回答

Fortigate 需要路由到 SG 350 后面的网络。（确保路由已在 350 上激活，但我认为这是默认设置。）

由于 350 似乎不支持任何路由协议，您需要在 Fortigate 上设置静态路由。

在 GUI 中，静态路由位于Network -> Static Routes中。如果您没有在除 Fortigate 或 350 之外的任何其他地方使用这些地址，则192.168.0.0/16 -> 192.168.2.210应该在 Internal 上使用单个条目，例如距离为 50，因此您仍然可以将单个子网路由到其他地方（距离较短）。

请注意，您的设置不使用棒上路由器，因为您在“核心”350 上路由（至少看起来像那样）。

如果您仅将 350 用作 L2 并将所有 VLAN 中继到 Fortigate，那将被视为单臂路由器。

如果您在设置中使用强化防火墙作为核心或外围设备并使用 Cisco SG300 作为分布交换机，那么您可以通过在强化防火墙上创建子接口来完成此任务

将 SG300 交换机配置为具有中继链路的 Fortigate 防火墙，允许所有 vlan

并在fortigate的外部接口上配置isp的公共ip，并在fortinet防火墙中配置指向isp网关的默认路由

现在在 SG300 交换机中创建在 fortigate 子接口中创建的所有 vlan。现在在 SG300 交换机中为桌面和服务器连接创建访问端口。

然后在外围防火墙中创建出站策略以访问 Internet

source interface : Lan destination interface : Outside facing interface source address : LAN POOL NETWORK Destination address : ANY servies: ports allowed as per your requirements action : ALLOWED Security profiles: ON

如果您的应用程序托管在本地局域网中并希望从 Internet 访问，则在防火墙中创建入站策略

Creaat VIP object as Publi ip mapping with " Object name " WEB SERVER = Publicip mapped with application hosted private ip

入境政策

source interface : outside interface destination interface : LAN SOURCE ADDRESS : any destination address : WEB SERVER /*As per vip created above */ services : as per application requirement mostly "https" security profiles : on action : allowed

*在底部创建隐式拒绝策略\此策略用于拒绝不匹配的流量并监控防火墙上不需要的流量

Source interface : any destination interface :ANY Source address : any destination address : any services ports : any action : deny

设置图

在此处输入图像描述

请参考fortigate防火墙上的子接口或路由器配置链接

https://youtu.be/bIeQyQKptRc

如果您在设置中使用强化防火墙作为核心或外围设备并使用 Cisco SG300 作为分布交换机，那么您可以通过在强化防火墙上创建子接口来完成此任务

将 SG300 交换机配置为具有中继链路的 Fortigate 防火墙，允许所有 vlan

并在fortigate的外部接口上配置isp的公共ip，并在fortinet防火墙中配置指向isp网关的默认路由

现在在 SG300 交换机中创建在 fortigate 子接口中创建的所有 vlan。现在在 SG300 交换机中为桌面和服务器连接创建访问端口。

然后在外围防火墙中创建出站策略以访问 Internet

source interface : Lan destination interface : Outside facing interface source address : LAN POOL NETWORK Destination address : ANY servies: ports allowed as per your requirements action : ALLOWED Security profiles: ON

如果您的应用程序托管在本地局域网中并希望从 Internet 访问，则在防火墙中创建入站策略

Creaat VIP object as Publi ip mapping with " Object name " WEB SERVER = Publicip mapped with application hosted private ip

入境政策

source interface : outside interface destination interface : LAN SOURCE ADDRESS : any destination address : WEB SERVER /*As per vip created above */ services : as per application requirement mostly "https" security profiles : on action : allowed

*在底部创建隐式拒绝策略\此策略用于拒绝不匹配的流量并监控防火墙上不需要的流量

Source interface : any destination interface :ANY Source address : any destination address : any services ports : any action : deny

其它你可能感兴趣的问题
上一篇OSPF 应该如何通过 WiFi 工作？ 下一篇tcpdump 的工作方式与 Omnipeek 不同吗？